Menú principal

miércoles, 29 de junio de 2016

iPhone 7: Nuevos datos sobre TouchID & Force Touch

Estamos ya cerca de las fechas marcadas para poder descubrir el nuevo iPhone 7. Los rumores se disparan y es que, al parecer, Apple está trabajando rápido y en Septiembre presentará el nuevo iPhone 7. Los rumores indican que el botón Touch ID tendrá una nueva versión capacitiva táctil con sensor de fuerza incluida. Los analistas creen que Apple planea de esta forma deshacerse de la identificación táctil tradicional que se estaba utilizando con el botón Home a favor de un componente capacitivo con sensor de fuerza. 

En marzo hubo supuestas fotos realizadas y filtradas dónde se podía observar un modelo de iPhone inédito en el que faltaba el botón de inicio y el conector para los auriculares. Este rumor se transmitió un mes más tarde, añadiendo que el teléfono inteligente de próxima generación presentaría protección integral al agua. No está claro cómo Apple espera integrar un botón de inicio capacitivo en su línea de hardware. La compañía sigue investigando como hacer un TouchID basado en la fuerza, capaz de detectar la presión del dedo y, al mismo tiempo, ofrecer servicios de autenticación de huellas digitales. 

Figura 1: Esquema del Touch ID con sensor de presión

Los proveedores de Apple ya están aumentando la producción para la fabricación del iPhone de este año, y suponiendo que la empresa ha hecho la intención de evitar los botones mecánicos, es decir, el clásico TouchID, tal vez sea probable que un botón de inicio sensible al tacto se muestre en el modelo de este año. Por otro lado, el iPhone de 2017 será completamente renovado con paneles de vidrio curvado doble y una pantalla OLED. Seguiremos atentos a los rumores sobre la seguridad física del dispositivo y cómo evoluciona el tema del nuevo TouchID.

martes, 28 de junio de 2016

Un poco más de datos sobre el sistema de archivos APFS

En la pasada WWDC Apple presentó el nuevo sistema de archivos APFS. Este nuevo sistema de archivos, el cual se centra en seguridad, sustituirá al antiguo HFS+ sobre sistemas Mac, iOS, Apple Watch y AppleTV. En el año 2017 es cuando se espera que esté soportado y desplegado en todos los sistemas operativos, ya que mientras tanto solo podremos disfrutarlo en versiones preview o beta. La migración de HFS+ a APFS se llevará a cabo, tal y como hizo Microsoft de FAT a NTFS.

El nuevo sistema de archivos incorpora una nueva serie de características y tecnologías para las próximas décadas. Muchos de los sistemas de archivos modernos necesitan de servidores o múltiples discos y ser optimizados para mejorar la latencia. En los dispositivos móviles la latencia es más crítica. Los usuarios quieren visualizar inmediatamente los resultados de una acción. Apple ya soporta lo que se denomina high performance, sistema de archivos compartido y Storage Area Networks con XSan.

Figura 1: APFS

Nuevas estructuras avanzadas en APFS. No solo veremos nuevas características relacionadas con el rendimiento y la seguridad, también veremos nuevas estructuras. Esto incluye una evolución al i-nodo de 64 bits, lo cual hace que podamos almacenar una cantidad de archivos nunca vista antes. APFS también mejora el timestamp de HFS+, siendo capaces de utilizar marcas de tiempo en nanosegundos. 

Otra de las características más esperadas son las de Clone. Esto permitirá que archivos o directorios sean instantáneamente copiados sin utilizar espacio de almacenamiento. Por otro lado, una de las características estrella es Snapshots. Con esta funcionalidad se puede realizar instantáneas de un instante del sistema de archivos y se puede volver a dicho punto en cualquier instante de tiempo. Realizar un rollback será mucho más fácil, ya que Snapshots permite utilizar el disco tal y como haríamos en una máquina virtual.

lunes, 27 de junio de 2016

Resetear la contraseña del EFI firmware en MacBook #Macbook #Apple

En el artículo de hoy traemos un brillante post de reversing en el que se enseña a "jugar" con el firmware EFI de Apple. La investigación comenzó con el objetivo de encontrar una forma de restablecer la contraseña del firmware de un MacBook. El investigador se encontró con referencias a un archivo SCBO, el cual puede ser cargado en una unidad flash USB y arrancar con el objetivo de eliminar la contraseña. El archivo SCBO permite verificar el número de serie del dispositivo. 

El archivo SCBO comienza con un magic number: 0x4F424353, el cual se puede leer la cadena SCBO. El soporte de Apple puede generar estos ficheros SCBO pidiendo algún dato importante al usuario que lo solicita. En este post vamos a ver cómo poder hacer esto, pero te recomendamos el libro de MacOS Hacking que habla de muchos temas que pueden serte de ayuda en situaciones similares.

Figura 1: Libro de MacOS Hacking

Para obtener la información necesario para el soporte se debe mantener pulsado SHIFT + CONTROL + Opción + Comando + S en la pantalla de solicitud de contraseña del firmware y se genera una cadena. Esta es la cadena que necesita el soporte de Apple, y esta es la misma cadena que se puede ver dentro del archivo SCBO. Los primeros dígitos son el número serie de la máquina, mientras que los últimos 16 dígitos son un valor que se regenera cada vez que se ha restablecido la contraseña del firmware

Figura 2: Obtención del serial

El procedimiento para utilizar un fichero SCBO es el siguiente. El objetivo es conseguir resetear una contraseña del firmware del dispositivo.
  1. Formatear una partición flash con Mac OS Extended. Se debe llamar Firmware.
  2. Arrastrar el archivo binario llamado SCBO al escritorio.
  3. Abrir terminal.
  4. Ejecutar el comnado cp ~/Desktop/SCBO /Volumes/Firmware/.SCBO
  5. Ejecutar este comando cp ~/Desktop/SCBO /Volumes/Firmware/._SCBO
  6. Extraer la unidad flash.
  7. Apagar el equipo.
  8. Insertar la unidad flash en el ordnador cliente.
  9. Encender el ordenador mientras mantiene pulsada la tecla Opción.
  10. Se debe visualizar el símbolo de bloqueo y luego el equipo debe reiniciar el gestor de arranque.
Si pierdes la contraseña de tu firmware, tu podrás resetarlo. En el artículo sobre la investigación del reversing y reseteo del firmware EFI de Apple se puede obtener total detalle sobre la operación y la investigación. Interesante y gran trabajo realizado en el área del reversing en sistemas Apple.

domingo, 26 de junio de 2016

Fue Noticia en Seguridad Apple: Del 13 al 26 de Junio

Inmersos en pleno mes de junio, es momento de echar un vistazo a los acontecimientos más reseñables que han ocurrido en el mundo de la seguridad en las últimas semanas, y que, como no puede ser de otra manera, os hemos contado en Seguridad Apple. Aquí tenéis un nuevo post de la sección Fue Noticia, con el resumen de los contenidos de este y otros blogs que hemos hecho con la intención de manteneros informados.

El lunes 13 os explicamos cómo Apple puede hacer de tu iPhone un dispositivo más seguro, ofreciendo varios niveles de cifrado dentro de su política de seguridad. 

Un día después os hablamos de la preview de iOS 10, que introduce varias mejoras de seguridad y una gran variedad de novedades como la posibilidad de que Siri trabaje con aplicaciones y mapas, etc.

A mitad de semana os trasladamos la noticia de que todas las apps de iOS estarán obligadas a comunicar con un servidor seguro a través del protocolo de seguridad ATS.

Disponible Pewiew de iOS 10
Al día siguiente os contamos que Apple Safari 10 deshabilitará de forma predeterminada el uso de Adobe Flash, para evitar sus conocidos problemas de seguridad.

El viernes 17 os hablamos de APFS, una nueva revelación de Apple en su WWDC que se trata de un nuevo sistema de archivos que tiene la seguridad como una de sus piedras angulares.

El sábado os mostramos un vídeo del hacker Ih8Sn0w en el que demuestra cómo es posible hacer un Untethered Jailbreak de  iOS 10 en un dispositivo iPhone 6S.

Cerramos la semana con un debate sobre la manera que tiene Apple de abordar el tema de la privacidad de los usuarios y sus datos. ¿Es una mera cuestión de márketing o se aplican medidas reales?

El lunes 20 os hablamos de Differential Privacy, la nueva apuesta de Apple para tratar de aprender lo máximo acerca de sus usuarios maximizando el anonimato de cada individuo. Un mensaje positivo para desmarcarse de otras compañías. De momento opt-in y solo para 4 casos de uso.

El martes la noticia que centró nuestra atención fue el aumento por parte de Apple del número de plugins de Adobe Flash Player bloqueados, con motivo de la nueva versión liberada por Adobe.

El miércoles hablamos de cómo Apple liberaba una actualización crítica sobre los firmware de algunas versiones de AirPort. Es totalmente necesario que los usuarios lo conozcan y que actualicen lo antes posible. Lo llamativo fue que alguna vulnerabilidad parcheada llevaba descubierta más de 9 meses, por lo que debemos actualizar lo antes posible.

El jueves nos hicimos eco de una alerta de seguridad par los usuarios de Apple ya que existía una campaña en curso para robar las cuentas de Apple ID haciendo creer que existía un virus en Apple iTunes. Mucho cuidado.

El viernes la entrada en nuestro blog se la dedicamos a iOS 10, en concreto a la decisión que por ahora Apple ha tomado de no cifrar el kernel para ganar eficiencia. ¿Será una decisión que se pague a futuro?

Por último, ayer sábado le dedicamos la entrada a Simjet, una herramienta que permite a los desarrolladores de Tweaks de iOS con jailbreak el probar en simuladores el tweak en distintas versiones de iOS.

Y esto fue todo lo que publicamos en nuestro blog, pero también os traemos una lista de artículos publicados en otros medios que puedan completar vuestra información. La lista de hoy es la siguiente:
- Mark Zuckerberg usa Mac OS X y también tapa la webcam: Y el micrófono, como hacen casi todos los hackers y la mayoría de los usuarios preocupados por el malware. El que evita la ocasión evita el peligro, decían los sabios refranes. 
- Cuidado con las puertas de enlace a TOR: El equipo de analistas de ciberseguridad de Eleven Paths  ha publicado un informe en el que alerta de las malas prácticas que muchas de esas puertas de enlace a la red TOR hacen, lo que puede afectar seriamente a tu privacidad. 
- BadTunel: El bug que permite interceptar todo el tráfico de red de los equipos Windows de los últimos 20 años. Mejor tener todos los sistemas Windows de tu red actualizados. 
- Sweet11Paths: Una máquina de caramelos protegida por tu firma manuscrita: Como forma de explicar el uso de la firma manuscrita biométrica como sistema de autenticación en Eleven Paths hemos construido una máquina de caramelos muy peculiar.

Figura 1: Chema Alonso probando Sweet11Paths
- Libros gratuitos de Machine Learning: Por si quieres hacerte un experto en esta materia que tan demandada está en el mundo laboral tecnológico hoy en día. A por ello este verano. 
- Actualización de seguridad de WordPress: La rama principal del proyecto ha sido actualizada, así que no dejes de aplicar los parches lo antes posible. 
- WordPress in Paranoid Mode: Esta semana, el jueves, tienes una cita a las 15:30 en una sesión online de 1 hora para ver cómo configurar tu WordPress in Paranoid Mode. No faltes.
Figura 2: El Megaprocessor
- "MegaProcessor" Una CPU hecha a mano: Tiene el tamaño de una habitación, pero es el mejor recurso didáctico que hemos visto en los últimos tiempos. Una pasada poder navegar por toda la habitación y ver la CPU con tus propios ojos. Hackers brillantes. 
- Vente a trabajar con nosotros: Nuestro compañero Chema Alonso ha lanzado un manifiesto para que te vengas a trabajar en la fábrica de caramelos. ¿Te apuntas con estas condiciones?
Y esto ha sido todo por hoy, esperamos que tengas un buen domingo, que vengas a esta misma sección dentro de dos semanas y encontrarnos todos los días en los posts que publicamos en Seguridad Apple.

sábado, 25 de junio de 2016

Simject: Probar tweaks de Cydia en el simulador de iOS

Simject es una nueva herramienta que permite a los desarrolladores testear los Cydia tweaks en un simulador de iOS. Si eres un desarrollador del mundo de Cydia y estás trabajando en tu próximo tweak te gustará poder utilizar Simject para poder testear tu proyecto en el simulador de iOS. Esta herramienta permite a los desarrolladores de tweaks probarlos fácilmente en el simulador. Esto es ideal para los desarrolladores que no tienen acceso a un dispositivo iOS con Jailbreak, ya que ahora serán capaces de construir y ajustar sus pruebas con mayor comodidad. 

Esta herramienta también permitirá a los desarrolladores realizar sus pruebas en una versión particular de iOS que no se tiene. En el post publicado en Reddit por el autor, se hace ver que mientras los ajustes funcionan o son válidos en el simulador, éstos también lo serán en el dispositivo real. La herramienta Simject funciona con todas las versiones recientes de iOS, incluyendo iOS 7, 8, 9 y hasta la nueva versión iOS 10.

Figura 1: Simject

Simject está disponible con licencia BSD y se puede descargar de forma gratuita desde el repositorio de Github del desarrollador. Si eres un desarrollador de Cydia al que le gustaría tener sus test antes de pasarlo a un dispositivo real, y posiblemente ahorrar u optimizar el tiempo, no dudes en probar Simject.

viernes, 24 de junio de 2016

El kernel de iOS 10 estará sin cifrar.. por eficiencia

El pasado miércoles, un artículo del MIT, explicaba que los investigadores que estaban mirando e investigando sobre la nueva versión del sistema operativo iOS 10 se encontraron con que el kernel no estaba cifrado. Esto es algo contrario a lo que ha ocurrido, históricamente, con las versiones de iOS. Esto puede simplificar el trabajo de una persona que quiera buscar fallos de seguridad en la parte clave del sistema operativo. El artículo del MIT indica que es altamente probable que sea una nueva estrategia de la compañía para incentivar que otros busquen vulnerabilidades. 

No sería una estrategia mala ni un fallo por parte de Apple dejar esta pieza del software sin cifrar. Conseguir que los mejores investigadores y reversers puedan observar tu código y ayudarte a encontrar fallos es, segurmente, una brillante estrategia. Incluso podría haber la posibilidad de algún tipo de bug bounty, con el que beneficiar a los investigadores activos. Por su parte, Apple indicó que el kernel no contiene información de los usuarios, por lo que el que esté o no cifrado no afecta a la privacidad de éstos.

Figura 1: Se descubre que el kernel de iOS 10 está sin cifrar

No cifrar el kernel es una modificación de Apple totalmente consciente. Lo que no ha quedado claro es por qué ahora Apple decide dejar el kernel abierto. Hay especulaciones que hacen pensar en que la batalla entre el FBI y Apple es una victoria para los primeros. Según indica Jonathan Zdziarski, Apple podría querer que las vulnerabilidades se destapen antes, y que no se las quede nadie para su propio beneficio, ya que ahora sería más sencillo encontrarlas.

¿Qué significa todo esto? El kernel es el componente con mayor privilegio, el cual se encarga de controlar qué aplicaciones pueden utilizar el hardware en un dispositivo y, por supuesto, también refuerza la seguridad del dispositivo. Apple siempre ha utilizado cifrado en las versiones anteriores de iOS para proteger este componente de ojos extraños. De esta forma se ocultaba cómo trabajaba el kernel del sistema. Una cosa debemos entender y es que el kernel no esté cifrado no significa que la seguridad de iOS 10 esté comprometida, son cosas totalmente distintas. Lo que sí ocurre, es que investigadores de seguridad tendrán un poco más fácil el poder encontrar fallos de seguridad. Seguramente podamos ver más Jailbreaks, pero también veremos como Apple arregla de forma más prematura estos fallos.

jueves, 23 de junio de 2016

Scammers hacen creer que hay un virus en tu iTunes #Apple #malware #iTunes #scam

Volvemos a tener una noticia relacionada con estafadores y con Apple como gancho de las víctimas. En esta ocasión, los scammers están intentando robar cuentas e información de pago de los usuarios de Apple. El investigador Bryan Campbell fue quien dio la voz de alerta y publicó en Twitter la imagen de un correo electrónico que había recibido. En este correo electrónico se podía ver como los estafadores se hacían pasar por un servicio de Apple y pedían a los usuarios que confirmaran los detalles de la cuenta de Apple ID.

El gancho del correo es que por cuestiones de un malware en la base de datos de iTunes, los usuarios deben volver a confirmar sus detalles de la cuenta. En el momento en el que la víctima confiaba en el correo e introducía su usuario y contraseña se robaba el Apple ID. En otras palabras, los scammers informan de que un virus se detectó en la base de datos de iTunes y para que no se pierda la información personal y garantizar un uso eficiente de la tienda de Apple, se deben volver a validar los datos y asegurar el acceso a la cuenta de iTunes. Realmente lo que ocurre es lo contrario, en cuanto se introduzcan las credenciales, su cuenta será robada. Además, se indica al usuario que si no siguen los pasos, la cuenta será cerrada en los próximas 72 horas. Con esto se intenta generar ansiedad en la víctima.

Figura 1: Email falso hablando del malware de iTunes y solicitando credenciales

Como puede verse, de nuevo un mensaje sencillo, a través de un medio popular como el correo electrónico puede causar grandes problemas a los usuarios de Apple. Es de esperar que la mala gramática y ortografía alarmase a las víctimas. Siempre existe el peligro de que los usuarios estén tan preocupados por perder el acceso a iTunes que puedan caer en la trampa. Hay que recordar que nunca Apple nos solicitará que introduzcamos credenciales por correo electrónico, y por supuesto hay que estar informado para ver si un posible incidente real ha ocurrido en la empresa. Es fundamental utilizar un 2FA para proteger la identidad digital, soluciones como Latch fortifican y protegen su identidad digital, alertando de un robo de ésta y protegiendo el acceso a los recursos del usuario.

miércoles, 22 de junio de 2016

Apple libera una *Critical Update* para su gama AirPort

Apple ha liberado una nueva revisión de seguridad con cáracter de urgencia para su gama de routers inalámbricos. La gama es la conocida como AirPort. La actualización es ligeramente misteriosa, ya que corrige una vulnerabilidad reportada por primera vez hace más de 9 meses. Apple ha tardado demasiado tiempo en dar detalles. Esto puede ser debido a que los dispositivos afectados no eran productos estrella de la marca, lo cual no justifica tardar tanto en proporcionar actualizaciones. De esto ya hemos debatido en otras ocasiones, y es que hay veces que los fabricantes tardan demasiado tiempo en arreglar ciertas vulnerabilidades.

El fallo más antiguo que se ha parcheado es el CVE-2015-7029, del que aún no se conocen detalles en la base de datos del Mitre, simplemente se dice que el CVE ha sido reservado. El misterio continúa cuando se dice que uno de los fallos solventados es uno que provocaba la ejecución de código remoto el cual tiene una descripción pobre y poco detallada oficialmente. Un problema de corrupción de memoria existía en el análisis de datos DNS. Este problema ha sido resuelto comprobando o validando los límites de los parámetros.

Figura 1: Actualización del firmware de AirPort

Se puede obtener mayor detalle desde el propio sitio de Apple, dónde se indica en qué afectan las vulnerabilidades y las medidas que sus usuarios deben tomar para solventarlas. En este caso es fácil, hay que actualizar el firmware de los dispositivos para lograr un estado de seguridad aceptable y no ser vulnerable a vulnerabilidades conocidas. No pongas en riesgo la red de tu empresa o de tu casa, actualiza de forma inmediata tus dispositivos AirPort.

martes, 21 de junio de 2016

Apple aumenta el bloqueo de plugins de Adobe Flash Player

Adobe ha liberado una nueva actualización con la que arreglar algunos fallos de seguridad en su producto Adobe Flash Player. Debido a esta nueva versión, Apple ha actualizado el mecanismo utilizado de protección web, el cual evita que plugins de Adobe con versiones vulnerables o antiguas se ejecuten, siendo potencialmente vulnerables. Este mecanismo de seguridad ha sido actualizado para deshabilitar todas las versiones previas a la 22.0.0.192 y 18.0.0.360 de Adobe Flash Player

 Se puede obtener un mayor detalle en el sitio web de Apple, dónde se ha publicado el cambio. Si el usuario está utilizando una versión de Flash que se encuentre fuera del rango de versiones anteriores, los plugins de navegador no serán ejecutados apareciendo el icono Flash out-of-date, por lo que el usuario es alertado y no podrá visualizar ningún video en su navegación. El usuario debe actualizar rápidamente Flash Player si se encuentra este tipo de iconos. 

Figura 1: Adobe Flash Player out-of-date

En estos casos la única solución es actualizar la herramienta para cumplir con los mínimos de seguridad aceptables para se pueda ejecutar Flash Player en el sistema. Se puede descargar desde el botón de Download Flash y Safari nos llevará hacia el sitio web de Adobe para llevar a cabo la descarga.

Figura 2: Advisory de seguridad sobre el bloqueo de Adobe Flash Player en OS X

Si por lo que fuera, se necesita una versión antigua de Flash Player, se puede encontrar en el sitio web dedicado para ello.

lunes, 20 de junio de 2016

Apple y la apuesta por Differential Privacy

Es normal que Apple, como cualquier mega-corporación, quiera saber lo máximo posible acerca de sus clientes. Es sabido que se comercializa con los datos. En la WWDC, Apple informó que ha optado por la privacidad diferencial. El Vicepresidente Senior de la empresa en Ingeniería del Software indicó que Apple hace cifrar extremo a extremo iMessage y Facetime y trata de mantener la mayor información personal en el dispositivo y no en los servidores de Apple

Se tuvo que admitir que la recogida de información de los usuarios es fundamental para hacer un buen software, especialmente en una época dónde el análisis del Big Data y aprendizaje es fundamental. ¿Qué es la privacidad diferencial? En resumidas cuentas es la ciencia estadística de tratar de aprender tanto como sea posible acerca de un grupo, mientras se aprende tan poco como sea posible acerca de cualquier individuo de ella. Es decir, se intenta anonimizar el máximo detalle de cualquier individuo de una muestra, pero se intenta extraer el máximo de información del conjunto. La privacidad diferencial es un tema de investigación en las áreas de estadísticas y datos de análisis que utiliza elementos como la inyección de hash, submuestreo y el ruido para permitir el aprendizaje.

Figura 1: Libro sobre Privacidad Diferencial de Aaron Roth

Con la privacidad diferencial, Apple puede recoger y almacenar los datos de sus usuarios en un formato que permite conocer nociones útiles sobre lo que se hace, por ejemplo, como se hace y la necesidad, pero no se puede extraer información de un solo individuo. Se está logrando respetar una violación de la privacidad. En teoría, tampoco podrían otros observadores información concreta de un individuo.

Figura 2: Esquema de Differential Privacy

"Con un gran conjunto de datos registrados de individuos, ejecutando el algoritmo de aprendizaje automático, se puede derivar conocimientos estadísticos a partir de la base de datos en su conjunto", indica Aaron Roth, profesor de la Universidad de Pennsylvania. Apple abre la puerta a la posibilidad de extraer información de un conjunto de individuos, sin necesidad de conocer cosas sobre un individuo de dicha muestra.

domingo, 19 de junio de 2016

Debate sobre el enfoque de Apple frente a la privacidad: ¿Marketing o realidad? #Apple #Privacidad

El bueno, el feo y el malo podríamos titular a este artículo. Muchos expertos han levantado la voz o, al menos, puesto en duda todo lo bueno que Apple está, aparentemente, haciendo por la confidencialidad y privacidad de sus usuarios. La pregunta que muchos se hacen es si la empresa de Cupertino, realmente, es un defensor de la privacidad o es una forma de aprovecharse y explotar un mercado con debilidades. Apple ha dado un empujón al tema de la privacidad en su WWDC anual celebrada esta semana. 

En términos de empujar y apoyar el cifrado extremo a extremo, y la eliminación de sí mismo de la ecuación tanto como sea posible de las medidas adoptadas en su hardware, Apple es, sin lugar a la duda, uno de los promotores de la privacidad a nivel de usuario, pero, ¿deberían los usuarios estar preocupados por el famoso secreto de Apple? 

Figura 1: Apple y la seguridad

El último gran ejemplo, de lo que muchos llaman el secreto de Cupertino, es el caso de Quicktime, el cual, según indico Trend Micro, se reveló que Apple había desaprobado la herramienta para Windows cuando tenía agujeros de seguridad en ella, es decir, a sabiendas del hecho y la situación. Sea como sea, todos debemos estar agradecidos a alguien, ya sea particular o empresa, que esté promoviendo la seguridad.

Figura 2: Debate de la privacidad en Apple

En el video, que podéis encontrar a través del enlace, se puede observar un debate sobre el enfoque de Apple a la seguridad. Interesante tema, el cual seguro que nos trae más novedades pronto. Estaremos atentos.

sábado, 18 de junio de 2016

Untethered Jailbreak para iOS 10: Un juego de hackers

Aún no ha llegado a las manos de la mayoría de los usuarios de iPhone o iPad, pero el popular hacker Ih8Sn0w ha publicado ya un vídeo en el que demuestra cómo ha conseguido hacer un Untethered Jailbreak a un terminal iPhone 6S con iOS 10, tal y como se puede ver en el siguiente vídeo.


Figura 1: Untethered Jailbreak a iOS 10

Este popular hacker canadiense lleva ya muchos años en la escena del jailbreak para iPhone. De él fue la creación de la herramienta Sn0wbreeze y publicamos la traducción al español de una entrevista que concedió hace tiempo en la que explicaba, entre otras cosas, el origen de su nickname.

viernes, 17 de junio de 2016

APFS: Nuevo sistema de archivos centrado en seguridad

Apple sigue dando noticias en su WWDC, esta vez se trata del nuevo sistema de archivos que se centra en la seguridad. Apple presentó un nuevo sistema de archivos, llamado, sencillamente, el sistema de archivos de Apple o APFS, el cual se centrará o ha sido diseñado pensando mucho en la seguridad de la información. Los sistemas de archivos son, en su mayoría, algo que la gente no valora o tiene en el radar generalmente.

Quizá el usuario medio o avanzado es el que mira más este tipo de estructuras y las valora. El sistema jerárquico HFS+, el cual ha sido utilizado por Apple durante los últimos 18 años, será jubilado por APFS. El nuevo sistema operativo es capaz de ofrecer un método de cifrado unificado para todos los dispositivos de Apple, incluido el cifrado multi-circuito que hará que introducirse en estos dispositivos sea algo bastante más complejo. El cifrado será uno de los fundamentos básicos de los sistemas operativos con APFS, y no una característica que se agregue a ellos. Si miramos la documentación del sitio web, el APFS hace varias mejoras sobre el HFS+, mientras que da apoyo casi total a las características del sistema de archivos anterior. Gran parte de los cambios se centran en el hecho de que hay una brecha de casi dos décadas, entre el lanzamiento de su antecesor y el nuevo sistema.

Figura 1: APFS estructura

Las nuevas características la APFS incluyen optimización Flash / SSD de almacenamiento, dimensionamiento rápido de directorio, compartición del espacio, metadatos, instantáneas, archivos y directorios de clonación. El nuevo sistema de archivos se encuentra disponible para desarrolladores, para que puedan probarlo y dar todo el feedback posible sobre ello. Aún queda un poco para que el APFS esté preparado, ya que hay muchas aplicaciones nativas que no son soportadas correctamente, pero la evolución y el futuro está llegando. Apple ha decidido fortificar el sistema de archivos dónde se almacenarán sus datos de forma predeterminada.

jueves, 16 de junio de 2016

Apple Safari 10 rechazará por defecto Adobe Flash Player

Apple ha desvelado como se llamará el nuevo sistema operativo, y como dijimos anteriormente, tendremos cambio de nomenclatura. Diremos adiós a OS X y recibiremos a macOS. El primero de los macOS será macOS Sierra, el cual trae un gran conjunto de novedades interesantes, como por ejemplo la integración de Siri. La que hoy nos interesa es hablar de Safari 10 y de que deshabilitará de forma predeterminada el uso de Adobe Flash. Apple está impulsando la muerte de Adobe Flash y el uso del HTML5 en todos los equipos MacApple está planeando medidas similares para los plugins de Java, Silverlight y Quicktime.

Este movimiento va a obligar a los sitios web basarse en HTML5 más de lo que lo vienen haciendo. El próximo Otoño veremos la salida de macOS Sierra con la inclusión de Safari 10. Será en este instante cuando Apple apostará totalmente por HTML5. El ingeniero de software Ricky Mondello indicó que los sitios web que tienen ambas implementaciones, tanto Flash como HTML5, ejecutarán siempre HTML5 con toda la experiencia de usuario que mejora.

Figura 1: Aviso nuevo en Safari 10 cuando no hay HTML5

La mayoría de los sitios web que detectan que Flash no está disponible y que no tienen respaldo HTML5, verán un mensaje en el que se dice "Flash no está instalado" en la pantalla con un enlace para descargarlo. La opción por defecto será activar sólo una vez, en el caso de que sea necesario, y no haya HTML5 en el sitio web. Parece que Apple se lo ha tomado muy en serio, y quiere dejar clara su postura.

miércoles, 15 de junio de 2016

Todas las apps tendrán que utilizar el protocolo de seguridad ATS a finales de año

Apple se ha puesto en marcha y ha decidido que en un futuro próximo, tan cercano como finales de año, todas las aplicaciones en iOS se tendrán que comunicar con un servidor seguro a través de ATS, App Transport Security. Esta característica será obligatoria, por lo que si quieres que tu app siga estando en la App Store deberá cumplir con este requisito obligatorio. A finales de 2016, las aplicaciones enviadas a la App Store tendrán que adoptar el protocolo, el cual asegura la comunicación entre una aplicación y el servidor.

Antes del anuncio en la WWDC, Apple solo sugería que los desarrolladores utilizasen ATS tan pronto como fuera posible. Por defecto se activa en iOS 9 y OS X 10.11. Apple indicaba que el ATS impedía la divulgación accidental de información personal y proporciona comportamiento seguro de forma predeterminada. Hay un tweet que refleja lo que ocurrió ayer en la WWDC dónde se resume lo que ocurre con la noticia del ATS.

Figura 1: Tuit del anuncio del ATS obligatorio

La noticia tiene sentido para aquellas aplicaciones de suscripción que quieren alojar contenido en sus propios servidores. Al forzar a los desarrolladores a utilizar ATS no podrán dejarlo de lado, por lo que Apple se asegura que el contenido y los datos transmitidos lo hacen de forma segura. Apple exige que se enumeren en el archivo info.plist los detalles para cada aplicación.

martes, 14 de junio de 2016

WWDC iOS 10 Preview: Mejoras en seguridad y privacidad

Apple ya ha soltado uno de los primeros bombazos del verano, y era uno de los más esperados. Su nuevo sistema operativo, que verá la luz hallá por Septiembre u Octubre, está disponible para que los desarrolladores lo testeen. iOS seguirá siendo iOS y su nomenclatura seguirá siendo iOS 10 y no iOS X, como algunos especulaban. Apple indica que este lanzamiento es el más grande que ha sufrido el sistema operativo.

Ofrece un gran número de actualizaciones. Entre otras cosas, iOS 10 introduce la capacidad de que Siri trabaje con aplicaciones, mapas, fotos, noticias, etcétera. Craig Federighi, Vicepresidente Senior de Ingeniería de Software en Apple indicó que iOS 10 aumenta la seguridad y la privacidad con las tecnologías de gran alcance. Estos dos elementos son algo muy esperados en la WWDC después del caso del FBI.

La seguridad y privacidad son fundamentales para el diseño de Apple. Las herramientas iMessage, FaceTime y HomeKit utilizan cifrado extremo a extremo para proteger sus datos, por lo que serán ilegibles por Apple y terceros. iOS 10 utilizará inteligencia en el dispositivo para identificar personas, objetos y escenas en las fotografías. A partir de iOS 10, Apple utilizará una tecnología denominada Diferencial de Privacidad para ayudar a descubrir patrones de uso de un gran número de usuarios sin comprometer la privacidad individual.


Figura 1: iOS 10 Preview

iOS 10 trae un gran número de nuevas funcionalidades, que harán que la experiencia del usuario mejora notablemente. A continuación os enumerados algunas de estas nuevas funcionalidades que fueron presentadas ayer en la WWDC:
  • Mensajes personales expresivos. Formas animadas y personalizadas para enviar mensajes a amigos y familiares.
  • Los desarrolladores podrán crear mensajes animados y nuevas formas de diversión para los usuarios.
  • Siri ha sido abierto para los desarrolladores, por lo que se podrá integrar con más aplicaciones que nunca. 
  • Los mapas han sido rediseñados. Esto hará que sea más sencillo e intuitivo de utilizar.
  • La aplicación Fotos te ayuda a redescubrir ocasiones favoritas y olvidadas en la biblioteca de Fotos. Hará como un recordatorio al más puro estilo Facebook. Además, se podrán crear memorias de ellas y hacer pequeños clips de películas con temas musicales de dichos momentos.
  • Home Kit más fácil de automatizar. Compatibilidad con más de 100 productos de automatización del hogar adoptando HomeKit.

lunes, 13 de junio de 2016

¿Cómo Apple puede hacer tu iPhone más seguro?

Cada versión nueva de hardware y software tiene sus mejoras de seguridad, ya que la empresa de Cupertino siempre indica que la seguridad de los datos es fundamental. Esto fue lo que Bruce Sewell testificó en el Congreso el pasado mes de Abril, en el archiconocido tema con el FBI. Con una nueva versión de software que se presupone vendrá en la WWDC que comienza hoy, es el momento de recopilar cosas que en un futuro cercano se puede mejorar en cuanto a la seguridad de los dispositivos y el sistema operativo.

El sistema operativo cuenta con un gran cantidad de prácticas robustas en seguridad. Se añadió cifrado extremo a extremo en iOS allá por el año 2011, años antes de que otras aplicaciones de mensajería populares lo hicieran.

Se ofrecen varios niveles de cifrado en iOS desde hace años, pero fue con iOS 8 cuando todo el dispositivo se cifraba por defecto, por lo que es mucho más difícil para la policía extraer datos. "Por el lado de iOS se ha hecho un trabajo increíble, y ahora es la plataforma informática más segura disponible" indica el CEO de la firma Securosis. Añade: "Todavía hay vulnerabilidades que aparecen, pero en el fondo iOS es sólido como una roca"

Figura 1: WWDC comienza hoy

Con todas estas palabras buenas que se dicen de iOS, ni el propio Apple puede decir que todo el trabajo está hecho. "Trabajamos duro para mejorar la seguridad con cada versión de software debido a que las amenazas son cada vez más frecuentes y más sofisticadas", indicó el CEO Tim Cook a finales de Febrero. ¿Qué mejoras puede haber en iOS 10? A continuación se enumeran algunos puntos de partida, los cuales pueden ser vistos en el WWDC de esta semana:
  • Cifrado iCloud más duro. Uno de los detalles de la confrontación de Apple con el FBI ha sido el del cifrado. Por esta razón, podremos encontrar un cifrado de iCloud más robusto. 
  • Cifrado de copias de seguridad en iCloud es bastante fácil de utilizar. Apple tiene las llaves, pero la idea sería que Apple no tuviera dichas llaves. Es un problema difícil, dado que los usuarios no eligen las contraseñas fuertes y tienen a olvidarse de ellas. Además, tampoco se puede fiar uno de su dispositivo para almacenarlas.
  • iMessage actualizado. iMessage fue el primer sistema de mensajería cifrada extremo a extremo disponible en su escala. Muchos hablan de que esta herramienta necesita una actualización, ya que se han mostrado recientemente algunas vulnerabilidades sobre ésta.
Sin duda, la WWDC ha causado expectación y no solo a los desarolladores, si no también a las personas que se dedican al mundo de la seguridad. ¿Qué novedades se harán realidad esta misma semana? Estaremos atentos para contarlo.

domingo, 12 de junio de 2016

Fue Noticia en Seguridad Apple: 30 de Mayo a 12 de junio

Llega el verano y con él, el buen tiempo y las altas temperaturas. Pero en Seguridad Apple no tomamos vacaciones, y como siempre, en la sección Fue Noticia os ofrecemos el mejor resumen de los acontecimientos recientes en el mundo de la seguridad informática, aderezados con las mejores publicaciones de otros sitios de interés.

Comenzamos el lunes 30 con la demostración de Luca Todesco de una versión de la herramienta JailbreakMe para dispositivos iOS 9.3.2.

El martes nos hicimos eco del rumor de que Apple planea incluir en OS X 10.12 una función de desbloqueo del Mac via Touch ID.

El día 1 de junio os anunciamos un nuevo episodio de las Eleven Paths Talks, en esta ocasión un seminario acerca de OSINT y el poder de la información pública.

Un día después os explicamos cómo es posible evitar que Facebook escuche tus conversaciones, que es lo que hace la aplicación en dispositivos iPhone a fin de sugerir publicaciones.

El viernes os hablamos de cómo Google planea ayudar a las personas a recuperar su iPhone en caso de que lo hayan extraviado o se lo hayan robado, en lo que supone una sólida alternativa a la aplicación Find my iPhone.

Al día siguiente os mostramos los pasos a seguir para convertir tu dispositivo iOS en un Mac OS Classic con Cydia, gracias a Jesús A. Álvarez.

Cerramos la semana con una recomendación: evita sincronizar tus contactos con un coche de alquiler cuando lo parees por BlueTooth, ya que pueden quedar almacenados y accesibles para cualquiera.

El lunes 6 os hablamos de la herramienta TeamViewer y cómo, debido a una vulnerabilidad no identificada, muchos de sus usuarios han sufrido el robo de sus cuentas, incluso aquellos que usaban un 2FA.

Un bombazo centró nuestra atención el martes: Mark Zuckerberg, fundador de Facebook, vio como sus cuentas de Twitter, Pinterest y LinkedIn fueron hackeadas.

El miércoles os hablamos de SandJacking, una técnica presentada en la HITB, que se basa en sustituir aplicaciones legítimas en tu iOS, para lo que es necesario tener acceso físico al dispositivo.

El día 9 nos centramos en nuevas campañas de phishing dirigidas contra usuarios de Apple, generalmente en China y Reino Unido, según ha reportado la empresa de seguridad FireEye.

El viernes os hablamos de la nueva remesa de versiones beta de Apple para OS X, TVOS, WatchOS e iOS que la compañía va a lanzar en breve.

Para terminar, el último artículo se lo dedicamos a la explicación que desde Facebook se ha dado al caso del micrófono en sus aplicaciones para iOS y por qué se ha generado el revuelo.

Y esto fue todo por nuestra parte, pero como es habitual, os traemos una selección de artículos publicados en otros medios durante este periodo para que completes tu información.
- WordPress in Paranoid Mode: Nuestros compañeros Chema Alonso y Pablo González han estado trabajando en un prueba de concepto que permite fortificar las aplicaciones con 2nd Factor Authorization usando Latch a nivel de tablas. La prueba se ha hecho con WordPress y tienes toda la información aquí. 
- La historia detrás de la "e-mail privacy act": Nuestros analistas de seguridad en Eleven Paths reflexionan en este CyberPulse sobre los detalles que implican para todos la aprobación de esta ley en USA. 
- Rumor: Apple puede lanzar iMessage para Android: Es algo con lo que se especula hace mucho tiempo y parece que será para el WWDC 2016. 
- Firefox Security Toolkit: Distribucion de Firefox que permite que tengas un Firefox con todo lo que necesitas para hacer pentesting de aplicaciones web. ¿A qué esperas para probar? 
- Libro de Hacking Web Technologies: Nuestros compañeros Chema Alonso, Pablo González y Ricardo Martín han participado en un nuevo libro que explica muchas técnicas de auditoría de aplicaciones web sin utilizar en ellas los ataques de SQL Injection. 
-Data Loss Detection - El caso de los Panama Papers: Conferencia impartida por nuestro compañero Pedro Pablo Pérez en la que explica las técnicas de Data Loss Detection y cómo se puede evitar un Panama Papers en tu empresa. 
- Material de Hack in the Box Amsterdam 2016: Ya puedes disfrutar del material de la Hack in the Box 2016 que ha tenido lugar en Amsterdam. Conferencias, papers y diapositivas. A estudiar se ha dicho. 

Figura 1: Entrevista a Chema Alonso por los 3 años de Eleven Paths
- Eleven Paths cumple 3 años: Y con motivo de ello se le hizo una entrevista en Sube a mi nube a Chema Alonso, fundador de la misma y CEO durante este periodo, en la que repasa cómo ha sido la experiencia.
Y esto ha sido todo por hoy, esperamos que disfrutéis el fin de semana y que nos veamos el próximo lunes aquí, en Seguridad Apple

viernes, 10 de junio de 2016

Facebook explica el "micrófono-gate" de su app en iOS

Hace unos días saltó la noticia de que Facebook utilizaba el micrófono para escuchar a los usuarios de la aplicación de iPhone. Al parecer, anuncios relevantes a los usuarios aparecían en función de las conversaciones de éstos. Conversaciones que estos usuarios tuvieron con personas de su entorno. Como es lógico hubo un gran boom mediático con esta noticia, por lo que la empresa norteamericana ha tenido que salir públicamente a matizar el hecho. En respuesta a las alegaciones, Facebook, ha respondido oficialmente negando categóricamente que utilice el micrófono del teléfono para informar a los proveedores de anuuncios e influir en lo que aparece.

Muchos usuarios y lectores no se creéran la afirmación de Facebook, pero éstos estaban obligados a responder públicamente. Si observamos el comunicado de prensa que la empresa ha enviado se indica que  Facebook solo utiliza el acceso al micrófono cuando se utiliza una función específica que requiera el audio. También se indica en el comunicado que la aplicación ofrece una serie de características que aprovechan el potencial del micrófono, en el ámbito de la accesibilidad. Por ejemplo, se permite al usuario utilizar la función de la llamada, o la función de la grabación de video.


Figura 1: Micrófono y Facebook en iOS

La compañia también reconoce que la función, la cual fue introducida hace un par de años, permite a los usuarios incluir música de forma rápida. La aplicación reconoce la música y la añade a su muro, de forma parecida a la aplicación Shazam. A muchos les parece que Facebook se justifica o que no cuenta toda la verdad, pero sea como sea, seguro que pronto seguirán las noticias respecto a este hecho.

Apple ha liberado las segundas betas de iOS 9.3.3, OS X 10.11.6, Watch OS 2.2.2 y tvOS 9.2.2

Apple ha liberado las segundas betas para iOS 9.3.3, OS X 10.11.6, watchOS 2.2.2 y tvOS 9.2.2. A medida que se acerca la WWDC 2016, la emoción y las expectativas sobre los próximos lanzamientos a nivel de sistema operativo se hacen más grandes. Mientras que todas las nuevas actualizaciones de software se presentarán en la conferencia de desarrolladores de manera oficial, Apple libera betas para desarrolladores a través del centro de desarrolladores. El objetivo está claro, que sean los developers los que prueben las nuevas versiones con las nuevas características y puedan así ser activos en el feedback.

Hoy en día la compañía ha sembrado las segundas versiones beta de las nuevas versiones de sus sistemas operativos. Sólo estarán disponibles para desarrolladores registrados y que tienen acceso al centro de desarrolladores. Sobre iOS 9.3.3 se espera que sea la última versión del sistema operativo, aunque no se ha podido obtener ningún detalle sobre este pensamiento. La versión 9.3.3, por lo que se puede ver en la beta, se centra en correcciones y mejoras, pero no en la adición de nuevas funcionalidades significativas. Por supuesto, se añaden actualizaciones de seguridad, y es altamente posible que la última vulnerabilidad de SandJacking quede parcheada en la nueva versión de iOS.

Figura 1: Versiones beta para los dispositivos Apple

Lo mismo ocurre con OS X 10.11.6, watchOS 2.2.2 y tvOS 9.2.2. Se espera que puedan ser las últimas versiones de estos sistemas, ¿quizá veamos un macOS? Apple mantiene todo en secreto, lo que está claro es que entre los meses de Septiembre y Octubre tendremos la nueva generación de sistemas operativos encima de la mesa.

jueves, 9 de junio de 2016

Campañas de phishing dirigidas a usuarios de Apple #Phishing #Apple

La empresa FireEye ha encontrado campañas de phishing dirigidas a los usuarios de Apple, entendiendo como objetivo la cuenta de iCloud de los usuarios. En las campañas se utilizaban dominios falsos. La empresa ha informado que desde Enero de este año, varias campañas de phishing se han dirigido a los usuarios de Apple con el objetivo de robar el Apple ID, generalmente en Reino Unido y China. Cualquier persona que tenga un Apple ID podrá acceder a la información del usuario, así como a sus datos.  FireEye explica que ha utilizado un sistema automático que detecta phishing y dominios potencialmente maliciosos.

Este sistema fue el que observó y registró estos dominios maliciosos de phishing. Estos dominios falsos de Apple estuvieron involucrados en los ataques de phishing contra los usuarios de iCloud en China y Reino Unido. En el blog de FireEye se puede ver el estudio y análisis que hicieron de la investigación y detección. La campaña que trata la gente de FireEye es la de Zycode. El phishing se denomina zycode debido al valor de una variable incrustada en el código Javascript. A continuación se muestra un listado de dominios maliciosos detectados por FireEye, los cuales, ninguno, apunta a la infraestructura de Apple

Figura 1: Dominios maliciosos

La lista de dominios muestra que los atacantes están intentado imitar los sitios web legítimos relacionados con iTunes, iCloud y Apple ID. La mayoría de los dominios aparecieron como una interfaz de inicio de sesión de Apple ID, iTunes e iCloud. Los dominios estaban altamente ofuscados con Javascript, el cual estaba creando el contenido HTML suplantando la identidad de Apple en el sitio web. Esta técnica es eficaz contra los sistemas antiphishing, los cuales se basan en el contenido HTML.

Generalmente, las imágenes que imitan a una marca o la forma de recoger las credenciales robadas son rasgos claros que hacen que un phishing pueda ser detectado. En estos casos el Javascript apoya al atacante para ofuscar la respuesta y no revelar su verdadera intención al no ser ejecutada dentro de un navegador web o de un emulador de Javascript.

Figura 2: Código ofuscado

Esta cadena codificada strHTML pasa por una secuencia compleja de funciones, alrededor de las 23 de descifrado o decodificación. Las funciones incluyen conversiones de sistemas numéricos, modificadores de patrones pseudo-aleatorios seguidos de decodificación XOR con llave fija o contraseña "zycode". Los sistemas antiphishing que se basan únicamente en el HTML no detectarán el código generado utilizando esta técnica. Una vez cargado en el navegador web, el Javascript ofuscado crea una página de phishing de iCloud.

Figura 3: BurpSuite
En la imagen se puede visualizar el usuario y contraseña interceptada ocn BurpSuite, tras todo el proceso de ofuscación de código y generación de web. La noticia es importante, aunque seguramente este tipo de campañas se sigan replicando a lo largo del mundo. Los usuarios deben estar concienciados y disponer de unos conocimientos mínimos de seguridad a la hora de navegar y utilizar sus identidades digitales. Usar verificación en dos pasos en AppleID es algo fundamental, con el que mejorar exponencialmente la seguridad de nuestra identidad.

Entrada destacada

Proteger tu cuenta de Google y de Gmail con Latch Cloud TOTP #Latch #Gmail #Google

La semana pasada se liberó la nueva versión de Latch y nuestro compañero Chema Alonso hizo un repaso de todo ello en su artículo Latch...

Otras historias relacionadas

Entradas populares